CVE-2026-84368 in joi
Riassunto
di VulDB • 01/09/2026
joi è un linguaggio di descrizione degli schemi e un validatore di dati per JavaScript. Dalla versione 16.0.0 fino alla 17.13.6 e alla 18.2.5, il pacchetto @hapi/joi (fino alla versione 17.1.1) e la sua controparte successora joi presentano una vulnerabilità di prototype pollution in lib/messages.js, dove exports.compile() ed exports.merge() riutilizzano oggetti ereditati per chiavi di lingua controllate dall'attaccante fornite tramite messages(), message(), prefs({ messages }), Joi.extend({ messages }) o rule({ message }). Una chiave di lingua denominata __proto__ scrive proprietà su Object.prototype, mentre constructor scrive sulle proprietà statiche della funzione Object. Un'applicazione consumatrice che basa il proprio flusso sulla presenza di una proprietà ereditata può seguire il ramo errato per ogni oggetto ispezionato. La vulnerabilità non è raggiungibile tramite i dati validati da joi e richiede che un'alimenti input non attendibili direttamente nella configurazione della costruzione dello schema. Questo problema è risolto nelle versioni 17.13.6 e 18.2.5 di joi; nessuna versione corretta del pacchetto @hapi/joi è disponibile.
If you want to get best quality of vulnerability data, you may have to visit VulDB.